L’HRV è «anonima»? — Variabilità del ritmo cardiaco e rischio di reidentificazione

Eliminare nome ed email basta a rendere anonimi i dati di variabilità della frequenza cardiaca (HRV)? Una nuova verifica interna su dati pubblici ha mostrato la possibilità di collegare segmenti HRV dello stesso tracciato entro un insieme chiuso di 202 candidati. I dettagli di implementazione, compreso il modo in cui sono creati i segmenti, non sono pubblici.

Questo non significa che «chiunque possa essere identificato con Apple Watch» o che l’HRV sostituisca un’impronta digitale. Il test cercava una corrispondenza tra candidati chiusi della stessa sessione di misura. Non ha verificato che una persona possa essere seguita in un altro giorno o su un altro dispositivo. Anche un’altra validazione interna tra sonno e veglia è fallita.

Quale domanda è stata studiata?

L’HRV riassume le variazioni dell’intervallo da un battito al successivo. Nel benessere è talvolta mostrata accanto a sonno o recupero, ma non li misura direttamente. Età, corporatura, regolazione autonoma del cuore, respirazione, postura, abitudini e condizioni di misura si combinano; può quindi contenere caratteristiche relativamente stabili nella stessa persona.

La domanda di ricerca era:

È possibile collegare, tra più candidati, segmenti separati dello stesso ECG a riposo usando un confronto di ricerca basato su informazioni derivate dall’HRV?

Non era un esperimento di autenticazione capace, per esempio, di sbloccare un codice. Studiava la collegabilità all’interno dello stesso tracciato: se frammenti anonimizzati potessero essere messi in relazione. È una domanda precedente alla reidentificazione fino al nome.

Dati e metodo

Paper 3 raccoglieva 6 coorti pubbliche — Autonomic Aging, Fitbit PMData, MMASH, Fantasia, MIT-BIH Normal Sinus Rhythm e CinC 2018 — con registrazioni di 1,227 persone in totale. Comprendevano ECG a riposo, intervalli RR durante il cammino, registrazioni legate al sonno e dati a lungo termine da dispositivi indossabili.

Sono state prodotte diverse informazioni derivate dall’HRV. I dati sono stati suddivisi per soggetto per evitare che registrazioni della stessa persona finissero sia nell’apprendimento sia nella valutazione.

La nuova verifica pubblica usava Autonomic Aging. Tra 211 persone tenute da parte per la valutazione, 202 soddisfacevano i criteri di idoneità fissati in anticipo. Sono stati usati segmenti distinti dello stesso tracciato; le regole concrete di suddivisione, selezione e confronto non sono pubbliche.

Il confronto di ricerca usava informazioni derivate dall’HRV. “top-5” è la proporzione in cui la corrispondenza corretta appariva tra i primi 5 candidati. Non sono pubblici progettazione delle caratteristiche, creazione dei segmenti, condizioni di qualità e selezione, pre-elaborazione e formula di confronto. Il fatto che terzi non possano riprodurre completamente la stessa analisi è una limitazione della ricerca.

Risultati principali

Valutazione	Osservato	Probabilità con ordinamento casuale	Intervallo di Wilson al 95%
top-1	62 / 202 (30.69%)	0.50%	24.74–37.36%
top-5	112 / 202 (55.45%)	2.48%	48.55–62.13%
top-10	133 / 202 (65.84%)	4.95%	59.06–72.03%

In un’analisi di sensibilità che invertiva la direzione del confronto, top-5 era 55.94%. Un test che permutava soltanto le corrispondenze corrette è stato ripetuto 20,000 volte. Con questo numero di ripetizioni, la minima unità comunicabile di un valore p unilaterale è 0.00005. Il file aggregato pubblico non include quante ripetizioni abbiano raggiunto o superato il valore osservato, quindi non consente da solo di ricalcolare il valore p osservato.

Un bootstrap che ricampionava soltanto le persone di interrogazione, mantenendo fissi i 202 candidati, dava per top-5 un intervallo condizionale al 95% di 48.51–61.88%, vicino all’intervallo di Wilson. Nessuno dei due garantisce prestazioni per futuri utenti o nell’uso reale.

Risultato negativo importante: sonno e veglia non funzionavano allo stesso modo

Un altro modello non revisionato di Paper 3 non ha soddisfatto la condizione prestabilita secondo cui la “somiglianza personale” doveva mantenersi tra sonno e veglia. Quel modello e la procedura sopra non sono direttamente confrontabili. In 15 persone di MMASH con entrambi gli stati:

• registrazione durante il sonno e confronto durante la veglia: top-5 56.13%;
• registrazione durante la veglia e confronto durante il sonno: top-5 42.99%.

I criteri interni fissati in anticipo non sono stati raggiunti. I valori concreti e le regole decisionali non sono pubblici. Respirazione, postura, attività e regolazione nervosa del cuore cambiano tra sonno e veglia. Questi risultati non confermano una collegabilità stabile tra stati e non dimostrano un’“impronta cardiaca” immutabile.

Che cosa sappiamo di Apple Watch e che cosa no

Lo studio non ha valutato direttamente Apple Watch. Le 6 coorti comprendono ECG, intervalli RR, registrazioni del sonno e dati Fitbit a lungo termine acquisiti in condizioni diverse. Non esistono dati prospettici Apple Watch raccolti con un unico protocollo.

Non si può quindi affermare:

• “L’HRV di Apple Watch identifica una persona con grande accuratezza”
• “Apple Watch permette l’autenticazione biometrica”
• “Feelmo identifica gli utenti dal loro ritmo cardiaco”

Con Apple Watch, sensore ottico, tempi di campionamento, dati mancanti dovuti al movimento ed elaborazione del sistema operativo possono influire. Per conoscere le prestazioni dirette servirebbe una validazione prospettica specifica per Apple Watch con dispositivo, postura e orario controllati.

Perché è importante per la privacy?

Una collegabilità inferiore al 100% può comunque creare problemi. I frammenti possono ridurre l’insieme di candidati e, combinati con orari del sonno, età, attività o posizione, potrebbero restringerlo ancora. Il 55.45% osservato non dimostra però che ciò funzioni davvero tra giorni o dispositivi diversi.

Sono giustificate almeno queste precauzioni:

• non considerare “anonimi” intervalli RR dettagliati o caratteristiche HRV soltanto perché il nome è stato rimosso;
• trattare vettori di caratteristiche e rappresentazioni di IA, oltre agli intervalli grezzi, come dati sanitari potenzialmente identificabili;
• conservare solo durata e granularità necessarie e cancellare ciò che non serve più;
• elaborare sul dispositivo quando possibile e ridurre invii ai server e condivisioni con terzi;
• non distribuire senza protezione rappresentazioni individuali, tabelle dei vicini più prossimi o serie temporali collegabili nei rilasci di ricerca;
• vietare collegamento e reidentificazione negli accordi di utilizzo dei dati.

Come influenza il design di Feelmo?

Feelmo tratta HRV e sonno come dati sensibili che possono essere collegati a una persona, non come semplici numeri. Per impostazione predefinita sono elaborati e conservati sul dispositivo e non inviati automaticamente ai server del Fornitore. Vedi Dati e privacy.

Questa ricerca non sostiene una funzione che indovini l’identità tramite HRV. Al contrario, sostiene il principio di mantenere nel dispositivo della persona le informazioni che possono essere analizzate, evitando trasferimenti non necessari.

Limiti e prossime verifiche

• Analisi secondaria interna non revisionata; è necessaria una replica indipendente
• Sensori, ambienti di misura e pre-elaborazione variano tra le coorti pubbliche
• Il risultato principale usa segmenti diversi dello stesso ECG a riposo e non dimostra persistenza tra giorni
• Delle 211 persone tenute da parte, 9 sono state escluse perché non rispettavano i criteri prestabiliti; le condizioni concrete non sono pubbliche
• I metodi di acquisizione, come le derivazioni, differiscono tra coorti e possono aver influito
• Un’altra valutazione interna non ha raggiunto i criteri e non ha stabilito invarianza tra sonno e veglia
• È top-5 in un insieme chiuso, non una valutazione dell’autenticazione reale
• Apple Watch non è stato valutato direttamente
• Servono dati prospettici specifici per Apple Watch, coorti esterne, valutazioni per stato e valutazioni aperte con persone sconosciute

Materiali di ricerca

• Nuova verifica pubblica: JSON aggregato senza informazioni personali. Non contiene identificatori, posizioni individuali, caratteristiche, codice di pre-elaborazione o procedura di confronto
• Analisi interna: Paper 3 (non revisionato, prima della pubblicazione generale). Non sono pubblici progettazione delle caratteristiche, condizioni di qualità, pre-elaborazione, formula di confronto, array individuali e risultati intermedi
• Dimensione dell’analisi: 6 coorti, 1,227 persone
• Risultato pubblico principale: tra 211 persone tenute da parte in Autonomic Aging, 202 erano idonee; top-5 entro lo stesso tracciato 55.45% (112/202)
• Dati principali: Schumann A, Bär KJ. Autonomic Aging. Articolo doi:10.1038/s41597-022-01202-y e dati doi:10.13026/2hsy-t491
• Dati per stato: Rossi A, et al. A Public Dataset of 24-h Multi-Levels Psycho-Physiological Responses in Young Healthy Adults. Data. 2020;5(4):91. doi:10.3390/data5040091 e MMASH v1.0.0 doi:10.13026/cerq-fc86
• Stadio della ricerca: analisi secondaria interna non revisionata di dati pubblici

※ Questa ricerca interna non convalida l’efficacia dell’app Feelmo.